Clef – farvel til passordet?

Bruker mobiltelefonen som autentiseringsmekanisme.

Med Clef kan du logge på med telefonen.

Del

Kommenter

Harald BrombachNyhetsleder

Pål Joakim Olsen

14. feb. 2014 - 09:59

Titt og ofte dukker det opp saker i mediene om brukerdatabaser med passord som har lekket til tredjepart. Allikevel er det fortstatt kombinasjonen brukernavn/epost og passord de fleste nettjenester sverger til når det kommer til autentisering av brukerne.

Noen har heldigvis begynt å ta i bruk tofaktorautentisering der man bruker passord i kombinasjon med en engangskode fra telefonen, men det gjelder fortsatt kun et fåtall.

Clef er en løsning som tar sikte på å fjerne passordet for godt. Ved å implementere løsningen på en nettside, kan brukeren logge seg på ved kun å scanne den bølgende strekkoden med Clef-appen (iOS/Android). Den krever PIN-kode ved åpning, så også dette blir en tofaktorløsning, som kombinerer noe du vet med noe du har.

Appen genererer en privat nøkkel (som forblir på telefonen) og en offentlig nøkkel som brukes for å generere signaturer. Med en slik distribuert arkitektur, hevder Clef at ingenting i selskapets databaser kan brukes for å avsløre brukernes identitet. Tjenesten bruker 2048-bit RSA asymmetriske nøkler for å identifisere brukerne og PKCS #5 for kryptering.

I det telefonen synkroniseres mot den bølgende strekkoden, sendes signaturen din til Clef, som da utveksler informasjon med den aktuelle nettjenesten via OAuth 2.0, på samme måte som når man bruker for eksempel Facebook-kontoen til å logge inn på et annet nettsted: